# DET0357 — Behavioral Detection of Internet Connection Discovery
## Descrição
A descoberta de conectividade de internet é uma técnica de reconhecimento interno frequentemente utilizada por adversários após o comprometimento inicial para mapear o ambiente de rede e válidar se o host comprometido possui acesso à internet. Atores de ameaça empregam ferramentas nativas do sistema operacional como `ping`, `curl`, `tracert` e `nslookup` para testar rotas de saída, verificar a disponibilidade de servidores de comando e controle (C2) e confirmar conectividade antes de estabelecer canais persistentes.
O comportamento malicioso se distingue do uso legítimo pela frequência anômala de consultas, pela combinação incomum de ferramentas de rede executadas em sequência rápida, e pela origem dos processos (processos filhos de aplicações não relacionadas a redes, como editores de documentos ou navegadores). Campanhas de malware como [[AgentTesla]] e [[s0367-emotet|Emotet]] utilizam essa técnica para válidar infraestrutura de C2 antes de exfiltrar dados.
A estratégia de detecção correlaciona eventos de criação de processo com execução de utilitários de descoberta de rede, cruzando com logs de DNS e conexões de saída para identificar padrões comportamentais indicativos de reconhecimento automatizado. Ferramentas EDR e SIEM são essenciais para correlacionar a cadeia de eventos em tempo real.
## Indicadores de Detecção
- Execução de `ping`, `tracert`, `pathping`, `curl`, `wget` ou `nslookup` originada de processos não-administrativos
- Múltiplas consultas DNS para hosts externos em intervalo inferior a 5 segundos
- Processos filhos de `winword.exe`, `excel.exe`, `powerpnt.exe` executando utilitários de rede
- Chamadas a `InternetGetConnectedState` ou `WinHttpOpen` de processos incomuns
- Conexões de saída para IPs conhecidos de checagem de conectividade (ex: `8.8.8.8`, `1.1.1.1`) por processos suspeitos
- Execução de `curl ifconfig.me` ou `curl api.ipify.org` para descoberta de IP público
## Técnicas Relacionadas
- [[t1016-system-network-configuration-discovery|T1016 — System Network Configuration Discovery]]
- [[t1049-system-network-connections-discovery|T1049 — System Network Connections Discovery]]
- [[t1071-application-layer-protocol|T1071 — Application Layer Protocol]]
- [[t1095-non-application-layer-protocol|T1095 — Non-Application Layer Protocol]]
- [[t1590-gather-victim-network-information|T1590 — Gather Victim Network Information]]
## Analytics Relacionadas
- [[an1015-analytic-1015|AN1015 — Analytic 1015]]
- [[an1016-analytic-1016|AN1016 — Analytic 1016]]
- [[an1017-analytic-1017|AN1017 — Analytic 1017]]
- [[an1018-analytic-1018|AN1018 — Analytic 1018]]
---
*Fonte: [MITRE ATT&CK — DET0357](https://attack.mitre.org/detectionstrategies/DET0357)*